UFile меняет настройки поиска в Chrome
Рекламные перенаправления на хосте, посетившем сайт homemade-gifts-made-easy.com, привели к установщику UFile. Наблюдаемой целевой страницей был goyoufile.com. Установщик доставляет функциональный PDF-инструмент и загружает зашифрованный этап .NET, который выполняется в памяти. Данные расследования не позволяют отнести UFile и отдельно обнаруженное программное обеспечение GooPDF к одному семейству вредоносного ПО.
Восстановленный модуль AutomationPref запрашивает конфигурацию поискового провайдера по адресу catchasail.com/u_partner_cfg. Во время перехваченной сессии сервер передал адрес trai.eepsearch.com. В шаблоне поиска Chrome после этого содержались поисковые запросы пользователя, а провайдер получил название «New».
Полезная нагрузка завершает работу Chrome, изменяет файлы Preferences и Secure Preferences браузера, затем перезапускает его. Код заменяет параметры поискового провайдера, генерирует новые данные целостности HMAC-SHA256, удаляет параметр template_url_data_encrypted_hash и подготавливает изменения в формате JSON перед заменой файлов. После сброса параметров конфигурации контролируемая переустановка воспроизвела перенаправление поиска с quickbrowse.co на Yahoo. Точную связь между этим перенаправлением и настроенным адресом назначения установить не удалось.
Платформа проверяет манифесты установленных расширений на наличие chrome_settings_overrides, запрашивает catchasail.com/u_ext и может изменять параметр disable_reasons расширения по инструкциям сервера. Операционные данные, сведения о браузере и поисковые запросы передаются через u_close_ping2.
В сборке также присутствует код, связанный с Chrome Local State, DPAPI и AES-GCM, однако расследование не установило фактов кражи учётных данных или более широкой эксфильтрации персональных данных. Дополнительные постоянные службы и запланированные задачи не создавались. Имеющиеся доказательства не подтверждают связь UFile с CookUp на уровне семейства кода или оператора. Общее использование рекламных каналов остаётся одной из возможных гипотез.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
